JWT 자동로그인 관련 질문

Question

jwt 방식으로 로그인을 시도하고 자동 로그인 기능을 사용할 시, 발급받은 token 값을 유효한지 체크하기 위해 보통 서버단에서 token 값 유효성 체크 api를 개발하여 클라이언트에게 제공하는 편인가요?보통 자동 로그인은 클라이언트에서는 발급받은 일회성 토큰값을 저장해뒀다가 사용할텐데, 클라이언트에서 발급받은 일회성 토큰값을 저장해뒀다가 사용할텐데, 그 토큰값이 서버내에서는 이미 유효기간이 지난 토큰값일 경우에는 클라이언트 측에서 어떻게 관리 및 처리를 해줘야 될지를 잘 모르겠어서 질문합니다.이 질문 내용은 로그인 시, 응답값으로 토큰 값을 1개만(Access Token만, Refresh Token 는 없음) 내려줄때의 상황에 대한 질문입니다.

kenu,전독시 · Answer

서비스에 따라서 재발급 정책이 정해지면 되요.

charlatan · Answer

클라이언트가 사용자 웹브라우저를 말하는 것인가요? JWT는 당연히 만료기간이 있고 만료되면 재로그인해야 합니다. 그러니까 사용자는 어느 순간 다시 로그인하라는 메세지를 볼 수 밖에 없죠. 그리고 JWT는 대개 HttpOnly이기 때문에 별도의 API를 호출할 필요도 없이 항상 요청에 포함될 수 밖에 없습니다. 그러니까 서버측에서는 필터 같은 것을 만들어서 JWT 유효성을 항상 검사해야만 하는 것이죠.자동로그인이라 함은 만료기간 없이 계속 처음 발급받은 토큰을 쓴다는 의미일텐데, 그게 사용자가 명시적으로 로그아웃을 해버리면 보통 토큰을 지우니까 자동로그인은 해제될 수도 있겠죠.

오후 · Answer

별도의 유효성 체크 API 추가가아닌 아닌로그인 여부 체크가 필요한 API 호출시 토큰을 검증 하시면 됩니다.이때 검증단계에서 잘못된 토큰(변조된)인지 만료된 토큰 인지 등 정해진 규칙에 따라 응답해주시고그에따라 클라에서 잘못된 토큰이라면 로그아웃/재로그인 요청만료된 토큰이라면 "토큰 재발행" API 요청 및 기존 요청 재시도 형태의 흐름으로 진행하시면됩니다.

개발잡부 · Answer

일단 로그인을 하면 ACCESS TOKEN을 받고요.어떤 요청이든지, 그냥 ACCESS TOKEN을 담아서 백엔드에 전송합니다.(쿠키 or 헤더에)(따로 검사 api가 있는게 아니라, 예외처리된 url을 제외한 모든 api에 같이 담아서 전송하면, 매요청 전에 검사후, 요청을 실행)ACCESS TOKEN 없으면 그냥 REJECT 합니다검사해봤는데 유효하지 않으면 REJECT합니다.유효기간 만료되었으면 REJECT하는데, 이때 방법은 두가지입니다.프론트엔드에서 재발급 요청 후, 시도하려했던 요청을 재요청백엔드에서 재발급을 해주고, 재발급 성공시 --> 쿠키에 새로운값 업데이트해주고, 원래들어왔던 요청 그대로 진행

JWT 자동로그인 관련 질문

4개의 답변

기술 목록